Auftragsverarbeitungsvereinbarung (AVV)

Stand: 16. Juni 2026

zwischen

Kunde gemäß dem jeweils geltenden SaaS-Nutzungsvertrag
– nachfolgend „Verantwortlicher“ –

und der

Potsdam Legal Tech GmbH, Herderstr. 1, 14482 Potsdam
– nachfolgend „Auftragsverarbeiter“ oder „Anbieter“ –

Präambel

Diese Auftragsverarbeitungsvereinbarung (nachfolgend „AVV“) konkretisiert die Verpflichtungen der Parteien aus den datenschutzrechtlichen Vorgaben, insbesondere aus Art. 28 der Datenschutz-Grundverordnung (DSGVO), soweit der Auftragsverarbeiter im Rahmen der Bereitstellung der Software „Notarius“ personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Sie ist Bestandteil des zwischen den Parteien geschlossenen SaaS-Nutzungsvertrages (nachfolgend „Hauptvertrag“) und tritt mit dessen Unterzeichnung bzw. elektronischer Bestätigung in Kraft. Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag gehen die Regelungen dieser AVV im Bereich des Datenschutzrechts vor.

§ 1 Begriffsbestimmungen

(1) Die in dieser AVV verwendeten Begriffe haben die in der DSGVO definierte Bedeutung. Für Zwecke dieser AVV bedeuten insbesondere:

a) „Verantwortlicher“ die natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (Art. 4 Nr. 7 DSGVO);

b) „Auftragsverarbeiter“ die natürliche oder juristische Person, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO);

c) „Personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO);

d) „Verarbeitung“ jeden Vorgang im Zusammenhang mit personenbezogenen Daten gemäß Art. 4 Nr. 2 DSGVO;

e) „Betroffene Person“ die Person, auf die sich die personenbezogenen Daten beziehen;

f) „Unterauftragsverarbeiter“ ein weiterer Auftragsverarbeiter, der vom Anbieter beauftragt wird und Zugang zu personenbezogenen Daten des Verantwortlichen erhält;

g) „Datenschutzrecht“ die DSGVO, das BDSG, das TDDDG sowie alle sonstigen anwendbaren datenschutzrechtlichen Bestimmungen der Bundesrepublik Deutschland und der Europäischen Union; soweit einschlägig, schließt dies die Verordnung (EU) 2024/1689 über künstliche Intelligenz (KI-VO) ein, sofern sie datenschutzrechtliche Bezüge aufweist;

h) „Verletzung des Schutzes personenbezogener Daten“ eine Verletzung im Sinne des Art. 4 Nr. 12 DSGVO.

§ 2 Gegenstand, Art, Umfang und Zweck der Verarbeitung

(1) Gegenstand, Art, Dauer und Zweck der Verarbeitung sowie Kategorien betroffener Personen und Arten personenbezogener Daten ergeben sich aus Anhang 1 dieser AVV.

(2) Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag einschließlich dieser AVV sowie die bestimmungsgemäße Nutzung der Software durch den Verantwortlichen bilden zusammen die vollständige Weisung.

(3) Der Anbieter informiert den Verantwortlichen unverzüglich, sofern er der Auffassung ist, dass eine Weisung gegen das Datenschutzrecht verstößt. Bis zur Klärung ist er berechtigt, die Umsetzung der betreffenden Weisung auszusetzen.

§ 3 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist im Rahmen dieser AVV der datenschutzrechtlich Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Er ist allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage nach Art. 6 und, soweit einschlägig, Art. 9 DSGVO, für die Wahrung der Rechte der betroffenen Personen sowie für die Richtigkeit, Aktualität und Qualität der verarbeiteten Daten.

(2) Der Verantwortliche ist in seiner Eigenschaft als Notarin und Notar oder als Rechtsanwältin und Rechtsanwalt insbesondere verpflichtet, die Bundesnotarordnung (BNotO), die Dienstordnung für Notarinnen und Notare (DNotO), die Notaraktenverzeichnis-Verordnung (NotAktVV), die Bundesrechtsanwaltsordnung (BRAO), die DSGVO, das BDSG, das TDDDG sowie das Strafgesetzbuch, insbesondere § 203 StGB, einzuhalten.

(3) Der Verantwortliche wird die Software nur in einer Weise nutzen, die mit diesen Vorgaben und mit den in § 43e BRAO normierten Anforderungen an die Einschaltung von Dienstleistern durch Rechtsanwältinnen und Rechtsanwälte vereinbar ist. Entsprechendes gilt für die berufs- und dienstrechtlichen Pflichten von Notarinnen und Notaren.

(4) Der Verantwortliche ist verpflichtet, die ihm nach der DSGVO obliegenden Informations- und Meldepflichten gegenüber betroffenen Personen und Aufsichtsbehörden selbst zu erfüllen.

(5) Der Verantwortliche benennt dem Anbieter einen weisungsbefugten Ansprechpartner für datenschutzrechtliche Fragen. Soweit dieser wechselt, teilt der Verantwortliche den Wechsel unverzüglich mit.

§ 4 Pflichten des Anbieters

§ 4.1 Verarbeitung nach Weisung und Vertraulichkeit

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach den Weisungen des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder das Recht der Bundesrepublik Deutschland, dem er unterliegt, zu einer anderen Verarbeitung verpflichtet. In einem solchen Fall teilt der Anbieter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der Anbieter verpflichtet alle mit der Verarbeitung der Daten befassten Personen schriftlich zur Vertraulichkeit und Einhaltung des Datenschutzrechts, sofern diese nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verschwiegenheitspflicht besteht auch nach Beendigung des Vertrages fort.

(3) Der Anbieter ist bei der Verarbeitung von Daten für den Verantwortlichen zur Wahrung des Datengeheimnisses verpflichtet. Der Anbieter verpflichtet sich, die gleichen Geheimnisschutzregeln zu beachten, wie sie dem Verantwortlichen obliegen.

§ 4.2 Technische und organisatorische Maßnahmen

(1) Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zur Sicherheit der Verarbeitung. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anhang 2 dieser AVV beschrieben.

(2) Der Anbieter ist berechtigt, die technischen und organisatorischen Maßnahmen nach billigem Ermessen anzupassen und weiterzuentwickeln, sofern das nach Art. 32 DSGVO gebotene Schutzniveau hierdurch nicht unterschritten wird. Wesentliche Änderungen wird der Anbieter dem Verantwortlichen in Textform mitteilen.

§ 4.3 Unterstützung des Verantwortlichen

(1) Der Anbieter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen nach Möglichkeit bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Person (Art. 28 Abs. 3 lit. e DSGVO). Der Anbieter stellt hierfür im Rahmen der Software Funktionen bereit, mit denen der Verantwortliche personenbezogene Daten abrufen, korrigieren, einschränken oder löschen kann.

(2) Der Anbieter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei der Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und bei vorherigen Konsultationen der Aufsichtsbehörde nach Art. 36 DSGVO.

(3) Wendet sich eine betroffene Person unmittelbar an den Anbieter mit einem Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch bezüglich personenbezogener Daten, die dem Anbieter als Auftragsverarbeiter vorliegen, leitet der Anbieter das Anliegen unverzüglich an den Verantwortlichen weiter und verweist die betroffene Person an den Verantwortlichen.

(4) Für Unterstützungsleistungen, die über die in der Software integrierten Selbstbedienungsfunktionen hinausgehen und die der Anbieter nicht aufgrund gesetzlicher Pflicht unentgeltlich zu erbringen hat, ist der Anbieter berechtigt, eine angemessene, vorab anzukündigende Vergütung nach Aufwand zu verlangen.

§ 4.4 Meldung von Datenschutzverletzungen

(1) Der Anbieter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO, die Daten des Verantwortlichen betrifft.

(2) Die Meldung erfolgt in Textform an die vom Verantwortlichen benannte Kontaktperson und enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Informationen, soweit sie dem Anbieter zum Zeitpunkt der Meldung vorliegen. Fehlende Informationen werden nachgereicht, sobald sie dem Anbieter zur Verfügung stehen.

(3) Der Anbieter unterstützt den Verantwortlichen bei der Erfüllung seiner Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

(4) Als Verletzung im Sinne dieses Absatzes gelten nicht erfolglose Anmeldeversuche, Pings, Port-Scans, abgewehrte Denial-of-Service-Angriffe sowie andere abgewehrte Angriffe auf die Infrastruktur, bei denen keine personenbezogenen Daten kompromittiert wurden.

§ 4.5 Rückgabe und Löschung personenbezogener Daten

(1) Mit Beendigung des Hauptvertrags, unabhängig von dessen Rechtsgrund, hat der Anbieter nach Wahl des Verantwortlichen alle ihm im Auftrag überlassenen personenbezogenen Daten entweder zu löschen oder zurückzugeben, einschließlich vorhandener Kopien, soweit dieser nicht durch Unionsrecht oder das Recht der Bundesrepublik Deutschland zur weiteren Speicherung verpflichtet ist.

(2) Der Anbieter stellt dem Verantwortlichen nach Beendigung des Hauptvertrags für einen Zeitraum von 30 Tagen einen Export der gespeicherten Daten in einem gängigen elektronischen Format zur Verfügung. Nach Ablauf dieser Frist werden die Daten automatisiert gelöscht.

(3) Daten in Sicherungskopien werden im Rahmen des regulären Rotations- und Überschreibungszyklus des Backup-Systems innerhalb von maximal 90 Tagen nach der Löschung aus dem Produktivsystem überschrieben und sind in dieser Zeit vor weiterer Verarbeitung geschützt.

(4) Die Löschung wird auf Anforderung dokumentiert und bestätigt.

§ 4.6 Ereignisse mit Gefährdungspotenzial für Kundendaten

Der Anbieter informiert den Verantwortlichen unverzüglich, wenn personenbezogene Daten des Verantwortlichen beim Anbieter durch Maßnahmen Dritter (z. B. Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige vergleichbare Ereignisse gefährdet werden.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern im Sinne des Art. 28 Abs. 2 DSGVO.

(2) Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anhang 3 dieser AVV aufgeführt. Eine stets aktuelle Liste wird unter https://notarius.legal/rechtliches/unterauftragsverarbeiter/ veröffentlicht.

(3) Der Anbieter informiert den Verantwortlichen mindestens 30 Tage vor der Beauftragung eines neuen oder der Ablösung eines bestehenden Unterauftragsverarbeiters in Textform (z. B. per E-Mail oder In-App-Benachrichtigung).

(4) Der Verantwortliche kann der beabsichtigten Änderung innerhalb von 30 Tagen nach Zugang der Mitteilung aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen. Ein solcher Grund liegt insbesondere vor, wenn der neue Unterauftragsverarbeiter kein angemessenes Datenschutzniveau bietet.

(5) Widerspricht der Verantwortliche, werden die Parteien nach einer einvernehmlichen Lösung suchen. Kommt eine solche nicht zustande, kann der Anbieter nach eigener Wahl entweder auf die Beauftragung verzichten oder dem Verantwortlichen ein außerordentliches Kündigungsrecht zum beabsichtigten Beauftragungszeitpunkt einräumen, jedoch unter Beibehaltung bereits fällig gewordener Vergütungsansprüche des Anbieters.

(6) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter schriftlich zu Datenschutzpflichten, die denen dieser AVV entsprechen, insbesondere zu den nach Art. 28 Abs. 4 DSGVO geforderten Verpflichtungen. Der Anbieter verpflichtet die Unterauftragsverarbeiter zusätzlich ausdrücklich zur Verschwiegenheit gemäß § 203 Abs. 4 StGB, soweit diese Zugang zu Daten erhalten, die dem Berufsgeheimnis unterliegen.

(7) Der Anbieter haftet dem Verantwortlichen gegenüber für die Einhaltung der Datenschutzpflichten durch den Unterauftragsverarbeiter wie für eigenes Verhalten.

(8) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Anbieter bei Dritten in Anspruch nimmt, insbesondere Telekommunikations-, Reinigungs-, Wartungs- und Entsorgungsdienstleistungen, soweit dabei ein Zugriff auf personenbezogene Daten nicht regelmäßig erfolgt oder vertraglich ausgeschlossen ist.

§ 6 Datenübermittlung, Hosting-Standort

(1) Der Anbieter verarbeitet personenbezogene Daten des Verantwortlichen ausschließlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Das Hosting der Software erfolgt in Rechenzentren, die in der Europäischen Union belegen sind; Sicherungskopien werden ebenfalls ausschließlich innerhalb der Europäischen Union gespeichert.

(2) Eine Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation im Sinne des Kapitels V DSGVO findet nicht statt. Sollte ausnahmsweise eine solche Übermittlung erforderlich werden, erfolgt sie nur unter Einhaltung der Voraussetzungen der Art. 44 bis 49 DSGVO und nur nach vorheriger Information des Verantwortlichen.

§ 7 Nachweis der Einhaltung und Audit

(1) Der Anbieter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und dieser AVV zur Verfügung.

(2) Der Nachweis kann nach Wahl des Anbieters insbesondere durch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Stellen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung), durch geeignete Zertifizierungen nach anerkannten Standards (z. B. ISO 27001, SOC 2, C5) oder durch die Beschreibung der umgesetzten technischen und organisatorischen Maßnahmen erbracht werden.

(3) Soweit diese Nachweise im Einzelfall nicht ausreichen, ermöglicht der Anbieter dem Verantwortlichen oder einem von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach vorheriger rechtzeitiger Ankündigung (Regelfrist: 30 Tage) und während der üblichen Geschäftszeiten Vor-Ort-Prüfungen bei dem Anbieter. Die Prüfung darf den betrieblichen Ablauf des Anbieters nicht unverhältnismäßig beeinträchtigen.

(4) Der Verantwortliche trägt die durch eine Vor-Ort-Prüfung entstehenden eigenen Kosten. Der Anbieter kann für einen über den gesetzlich geschuldeten Umfang hinausgehenden Aufwand eine angemessene Vergütung nach Aufwand verlangen; auf Wunsch nennt der Anbieter die voraussichtlichen Kosten vorab.

(5) Der Verantwortliche wird sein Prüfrecht grundsätzlich nicht häufiger als einmal pro Kalenderjahr ausüben, es sei denn, es bestehen konkrete Anhaltspunkte für eine Verletzung dieser AVV.

§ 8 Besondere Regelungen für Berufsgeheimnisträger und KI-gestützte Funktionen

(1) Die Parteien sind sich einig, dass Daten, die über die Software verarbeitet werden, in erheblichem Umfang dem anwaltlichen bzw. notariellen Berufsgeheimnis unterliegen können (§§ 43a BRAO, 18 BNotO, 203 StGB). Die Parteien beachten die sich hieraus ergebenden Besonderheiten, insbesondere § 43e BRAO für Dienstleister von Rechtsanwältinnen und Rechtsanwälten.

(2) Soweit die Software KI-gestützte Funktionen bereitstellt, bei denen personenbezogene Daten zu Zwecken der Textgenerierung, -analyse oder -zusammenfassung verarbeitet werden, gelten die folgenden zusätzlichen Regelungen:

a) Der Anbieter verwendet personenbezogene Daten des Verantwortlichen nicht zum Training eigener oder fremder KI-Modelle, es sei denn, der Verantwortliche hat dies ausdrücklich und gesondert freigegeben.

b) Der Anbieter stellt durch vertragliche und technische Maßnahmen sicher, dass etwaige eingesetzte KI-Dienstleister die personenbezogenen Daten des Verantwortlichen nicht zu eigenen Zwecken verarbeiten. Entsprechende KI-Dienstleister werden als Unterauftragsverarbeiter in Anhang 3 geführt.

c) Beide Parteien halten die für sie jeweils geltenden Vorgaben der Verordnung (EU) 2024/1689 über künstliche Intelligenz (KI-VO) ein, soweit diese auf die jeweilige Verarbeitung anwendbar sind.

§ 9 Datenschutzbeauftragter

(1) Datenschutzbeauftragte bzw. Ansprechpartner in Datenschutzfragen sind:

Auf Seiten des Anbieters: datenschutz@notarius.legal, Potsdam Legal Tech GmbH, Herderstr. 1, 14482 Potsdam

Auf Seiten des Verantwortlichen: die im Bestellformular oder im Kundenaccount benannte Kontaktperson.

(2) Wechsel in den Ansprechpartnern sind der jeweils anderen Partei unverzüglich mitzuteilen.

§ 10 Haftung

(1) Für die Haftung der Parteien im Rahmen dieser AVV gelten die Haftungsregelungen des Hauptvertrags (§ 12 der AGB) entsprechend, soweit nicht nachfolgend oder durch zwingendes Recht etwas anderes bestimmt ist.

(2) Art. 82 DSGVO bleibt unberührt.

§ 11 Laufzeit und Beendigung

(1) Diese AVV beginnt mit der erstmaligen Verarbeitung personenbezogener Daten durch den Anbieter im Rahmen des Hauptvertrags und endet mit Beendigung des Hauptvertrags. Die Verpflichtungen zur Rückgabe bzw. Löschung nach § 4.5 dieser AVV bestehen über das Vertragsende hinaus.

(2) Eine ordentliche Kündigung dieser AVV ist ausgeschlossen, solange der Hauptvertrag besteht. Das Recht zur außerordentlichen Kündigung des Hauptvertrags aus wichtigem Grund, insbesondere wegen eines schwerwiegenden Verstoßes gegen diese AVV, bleibt unberührt.

§ 12 Änderungen dieser AVV

(1) Änderungen und Ergänzungen dieser AVV bedürfen der Textform und sind als solche zu bezeichnen. Dies gilt auch für die Änderung dieser Klausel selbst.

(2) Der Anbieter ist berechtigt, diese AVV zu aktualisieren, soweit dies aufgrund geänderter gesetzlicher Rahmenbedingungen, höchstrichterlicher Rechtsprechung, Aufsichtsbehörden-Praxis oder technischer Anforderungen erforderlich ist und die Änderungen den Verantwortlichen nicht unangemessen benachteiligen. § 14 der AGB gilt entsprechend.

§ 13 Schlussbestimmungen

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(2) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dieser AVV ist Potsdam, sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(3) Sollten einzelne Bestimmungen dieser AVV unwirksam oder undurchführbar sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung tritt eine Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung in rechtlich zulässiger Weise am nächsten kommt.

Anhang 1 – Gegenstand und Einzelheiten der Verarbeitung

A. Parteien

Verantwortlicher: Der Kunde gemäß dem SaaS-Nutzungsvertrag – in eigenem Namen und ggf. im Namen der im Bestellformular benannten verbundenen Unternehmen. Kontaktdaten: wie im Bestellformular bzw. im Kundenaccount angegeben.

Auftragsverarbeiter: Potsdam Legal Tech GmbH, Herderstr. 1, 14482 Potsdam, vertreten durch die Geschäftsführerin Manja Habermann. Kontakt in Datenschutzfragen: datenschutz@notarius.legal.

B. Gegenstand und Zweck der Verarbeitung

Bereitstellung und Betrieb der Kanzleimanagement-Software „Notarius“ einschließlich des Mandantenportals sowie zugehöriger Beratungs- und Supportleistungen im Rahmen des zwischen den Parteien geschlossenen SaaS-Nutzungsvertrags.

C. Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Abgleichen oder Verknüpfen, Einschränken, Löschen oder Vernichten. Die konkreten Verarbeitungsvorgänge ergeben sich aus der Nutzung der Software durch den Verantwortlichen und seine Nutzer.

D. Kategorien betroffener Personen

Die Verarbeitung kann insbesondere folgende Kategorien betroffener Personen umfassen:

• Mitarbeiter, Gesellschafter und sonstige Beschäftigte des Verantwortlichen;
• Mandanten, Mandantinnen und sonstige Auftraggeber des Verantwortlichen sowie deren Bevollmächtigte;
• Verfahrensbeteiligte (z. B. Gegner, Zeugen, Sachverständige, Erben);
• Kommunikationspartner des Verantwortlichen (z. B. Gerichte, Behörden, Dritte);
• Nutzer des Mandantenportals.

E. Kategorien personenbezogener Daten

Je nach Nutzung durch den Verantwortlichen können insbesondere folgende Datenkategorien verarbeitet werden:

• Stammdaten (Name, Anschrift, Geburtsdatum, Kontaktdaten);
• Identifikationsdaten (z. B. Ausweisdaten, Steuernummern, Registernummern);
• Vertrags- und Mandatsdaten (z. B. Aktenzeichen, Mandatsgegenstand, Korrespondenz);
• Kommunikationsdaten (z. B. E-Mails, Chatnachrichten, im Mandantenportal ausgetauschte Inhalte);
• finanzielle Daten (z. B. Bank- und Zahlungsdaten, Rechnungsinformationen);
• Daten aus Fragenkatalogen des Mandantenportals;
• Nutzungs- und Metadaten (z. B. IP-Adressen, Login-Zeitpunkte, Geräteinformationen);
• KI-Ein- und Ausgaben, soweit der Verantwortliche KI-Funktionen nutzt.

F. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Die Verarbeitung besonderer Kategorien personenbezogener Daten erfolgt nur, soweit der Verantwortliche solche Daten in die Software einstellt und hierfür eine Rechtsgrundlage nach Art. 9 DSGVO vorliegt. Typische Kategorien in der anwaltlichen und notariellen Praxis sind Gesundheitsdaten, Daten zu strafrechtlichen Verurteilungen und Straftaten (Art. 10 DSGVO) sowie Daten zu religiösen, weltanschaulichen oder politischen Überzeugungen.

G. Häufigkeit der Übermittlung

Kontinuierlich, während der Laufzeit des Hauptvertrags, nach Maßgabe der Nutzung der Software durch den Verantwortlichen.

H. Dauer der Verarbeitung

Für die Dauer des Hauptvertrags zuzüglich der Frist für die Rückgabe bzw. Löschung gemäß § 4.5 dieser AVV, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen.

I. Ort der Verarbeitung

Ausschließlich innerhalb der Europäischen Union.

Anhang 2 – Technische und organisatorische Maßnahmen (TOM)

Der Anbieter setzt zum Zeitpunkt des Vertragsschlusses die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO um. Die Maßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle. Die Software wird in Rechenzentren innerhalb der Europäischen Union betrieben, die durch nach Industriestandard zertifizierte Anbieter geführt werden (Zertifizierungen wie ISO 27001, SOC 2, C5 oder vergleichbar). Der physische Zutritt zu den Rechenzentren ist mehrstufig gesichert (Vereinzelungsanlagen, Videoüberwachung, biometrische oder kartenbasierte Zutrittskontrollen).

1.2 Zugangskontrolle. Der Zugang zu Produktivsystemen ist nur einem definierten Personenkreis über persönliche Accounts mit Mehrfaktor-Authentifizierung möglich. Privilegierte Zugriffe erfolgen ausschließlich über ein „Just-in-Time-Access“-Verfahren und werden protokolliert. Zugriffsberechtigungen werden regelmäßig überprüft.

1.3 Zugriffskontrolle. Innerhalb der Software bestehen differenzierte Rollen- und Rechtekonzepte. Kundendaten sind mandantenfähig getrennt gespeichert. Der Zugriff erfolgt ausschließlich über authentifizierte Schnittstellen (Web-UI, API). Passwort-Richtlinien entsprechen dem Stand der Technik; Passwörter werden nur als Hashwerte gespeichert.

1.4 Trennungskontrolle. Produktiv-, Test- und Entwicklungssysteme sind logisch voneinander getrennt. Kundendaten werden logisch mandantengetrennt verarbeitet.

1.5 Pseudonymisierung und Verschlüsselung. Die Übertragung von Daten erfolgt ausschließlich verschlüsselt (TLS ≥ 1.2 für alle Login- und Datenschnittstellen). Personenbezogene Daten werden auf Speichermedien verschlüsselt abgelegt („encryption at rest“). Backups sind verschlüsselt.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle. Datenübertragungen außerhalb der Anwendungssystemgrenze erfolgen ausschließlich verschlüsselt. Eine Übermittlung in Drittländer außerhalb der EU/des EWR findet nicht statt.

2.2 Eingabekontrolle. Eingaben, Änderungen und Löschungen in der Software werden mit Benutzer- und Zeitstempel protokolliert (Audit-Trail).

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

3.1 Datensicherung. Automatisierte tägliche Backups der Kundendaten werden erstellt und für mindestens 30 Tage vorgehalten. Sicherungskopien werden innerhalb der EU redundant gespeichert.

3.2 Wiederherstellung. Der Anbieter verfolgt dokumentierte Notfall- und Wiederherstellungspläne, die regelmäßig getestet werden.

3.3 Hochverfügbarkeit. Produktive Datenbanken werden über mindestens eine primäre und eine sekundäre Instanz repliziert betrieben. Infrastruktur ist redundant ausgelegt.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

4.1 Datenschutz-Management. Es bestehen schriftliche Informationssicherheits- und Datenschutzrichtlinien. Mitarbeiter werden regelmäßig geschult.

4.2 Vorfallmanagement. Ein dokumentierter Incident-Response-Prozess regelt die Erkennung, Meldung, Analyse und Behebung von Sicherheitsvorfällen.

4.3 Schwachstellenmanagement. Tägliche automatisierte Schwachstellenscans; mindestens jährlich Penetrationstests durch unabhängige Dritte; risikobasierte Priorisierung der Behebung.

4.4 Auftragskontrolle. Unterauftragsverarbeiter werden sorgfältig ausgewählt, vertraglich zu angemessenem Datenschutz verpflichtet und regelmäßig überprüft.

4.5 Mitarbeitersensibilisierung. Alle Mitarbeiter sind schriftlich zur Vertraulichkeit und nach § 203 Abs. 4 StGB verpflichtet und werden regelmäßig zu Datenschutz und Informationssicherheit geschult.

Anhang 3 – Liste der Unterauftragsverarbeiter

Zum Zeitpunkt des Vertragsschlusses setzt der Anbieter die folgenden Unterauftragsverarbeiter ein:

Unterauftragsverarbeiter	Sitz	Zweck / Leistung	Ort der Verarbeitung
STACKIT GmbH & Co. KG	Stiftsbergstraße 1, 74172 Neckarsulm, Deutschland	Hosting der Software (API-Server und Produktivdatenbanken) einschließlich der automatisierten Datensicherungen sowie Bereitstellung und Betrieb der KI-Modelle und KI-Inferenz für die in der Software integrierten KI-Funktionen (Textgenerierung, -analyse und -zusammenfassung)	Deutschland (EU)

Die jeweils aktuelle Liste ist unter https://notarius.legal/rechtliches/unterauftragsverarbeiter/ abrufbar.